22 Sicherheitslücken in "Epyc"-Serverprozessoren von AMD
Wer Server mit AMD-Epyc-Prozessoren betreibt, sollte dringend BIOS-Updates einspielen; einige Lücken sind zwei Jahre alt.
Unter der "Bulletin ID" AMD-SB-1021 listet AMD 22 Sicherheitslücken in Serverprozessoren der Baureihen Epyc 7001 (Naples), Epyc 7002 (Rome) und Epyc 7003 (Milan) auf. Die meisten betreffen den eingebauten AMD Platform Security Processor (PSP) oder die System Management Unit (SMU). Einige wirken sich auch auf die Speicherverschlüsselung Secure Encrypted Virtualization (SVE) aus, weil die PSP die dabei verwendeten Schlüssel verwaltet.
Bei vier der Sicherheitslücken ist das Risiko als "hoch" angegeben, bei den restlichen als "mittel". Die meisten sind nicht aus der Ferne nutzbar, sondern setzen lokalen Zugriff auf den physischen Server voraus.
AMD hat neue Versionen der Firmware-Komponente AMD Generic Encapsulated Software Architecture (AGESA) für jede Epyc-Generation an die Hersteller von Servern und Mainboards verteilt, die diese nun in BIOS-Updates integrieren. Die AGESA-Versionen mit den Updates gegen die in AMD-SB-1021 beschriebenen Sicherheitslücken heißen NaplesPI-SP3_1.0.0.G, RomePI-SP3_1.0.0.C und MilanPI-SP3_1.0.0.4.
Verfügbare BIOS-Updates
Die folgenden Server- und Mainboard-Hersteller halten bereits BIOS-Updates mit den neuen AGESA-Versionen bereit:
- Dell Security Advisory DSA-2021-227 Dell PowerEdge Server Security Update for AMD Server Vulnerabilities
- HPE Security Bulletin HPESBHF04209 HPE ProLiant and Apollo Gen10 and Gen10 Plus Servers
- HPE Security Bulletin HPESBHF04195 HPE ProLiant Gen10 Plus Servers Epyc 3
- Lenovo Security Advisory LEN-75180 Multi-vendor BIOS Security Vulnerabilities
- Supermicro "AMD Security Vulnerabilities, November 2021"
Kritik von Experten
Der Sicherheitsforscher Volodymyr Pikhur, dem AMD für die Meldung der Lücke CVE-2020-12988 dankt, kritisiert AMD via Twitter. Demnach sei "einer der schlechtesten Coordinated-Disclosure-Prozesse gewesen, an denen er beteiligt war". Einige der Sicherheitslücken hätten Hugo Magalhaes und er bereits 2019 an AMD gemeldet und es habe fast zwei Jahre gedauert, bis nun Patches erschienen.
Laut Pikhur ähnelt eine der Epyc-Schwachstellen der 2015 veröffentlichten "Speed Racer"-Lücke in älteren Intel-Systemen, bei denen sich der Schreibschutz für den per SPI angebundenen NOR-Flash-Speicherchip für den BIOS-Code aushebeln lässt. Diese Speed-Racer-Lücke nutzt laut Sicherheitsforschern etwa das "LoJax"-Rootkit, um sich im UEFI-BIOS einzunisten. LoJax wurde 2020 von Kaspersky auf zwei Rechnern nachgewiesen.
CVE-Nummern der mit AMD-SB-1021 veröffentlichten Sicherheitslücken:
- CVE-2020-12954
- CVE-2020-12961
- CVE-2021-26331
- CVE-2021-26335
- CVE-2021-26315
- CVE-2020-12946
- CVE-2020-12951
- CVE-2021-26336
- CVE-2021-26337
- CVE-2021-26338
- CVE-2021-26320
- CVE-2020-12944
- CVE-2020-12988
- CVE-2021-26329
- CVE-2021-26330
- CVE-2021-26321
- CVE-2021-26323
- CVE-2021-26325
- CVE-2021-26326
- CVE-2021-26322
- CVE-2021-26327
- CVE-2021-26312
(ciw)
